对于VPN安全技术的研究

--

--

海南大学 信息科学技术学院

College of Information Science & Technology • Hainan University

2012 - 2013 第二学期

服务器架构实验课程论文

《对于VPN安全技术的研究》

姓名：王炳焜 邹蜀荣

学号：20111616310012 20111616310028

专业： 11级信息安全 --

-- 对于VPN安全技术的研究

摘要：VPN全称为Virtual Private Network，即虚拟专用网络。VPN属于远程访问技术，简单地说就是利用公网链路架设私有网络，为用户提供一个可靠安全的网络连接，保证了传输数据的安全。

关键字：VPN安全技术

正文：虚拟专用网（VPN）可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。通过将数据流转移到低成本的压网络上，一个企业的虚拟专用网解决方案将大幅度地减少用户花费在城域网和远程网络连接上的费用。同时，这将简化网络的设计和管理，加速连接新的用户和网站。另外，虚拟专用网还可以保护现有的网络投资。随着用户的商业服务不断发展，企业的虚拟专用网解决方案可以使用户将精力集中到自己的生意上，而不是网络上。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。

一、VPN的定义

现在有很多连接都被称作VPN，用户经常分不清楚，那么一般所说的VPN到底是什么呢？

VPN的英文全称是“Virtual Private Network”，翻译过来就是“虚拟专用网络”。顾名思义，虚拟专用网不是真的专用网络，但却能够实现专用网络的功能。虚拟专用网指的是依靠ISP（Internet服务提供商）和其它NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。IETF草案理解基于IP的VPN为："使用IP机制仿真出一个私有的广域网"是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。

我们所要构建的虚拟专用网络可以把它理解成是虚拟出来的企业内部专线。它可以通过特殊的加密的通讯协议在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。这就好比去电信局申请专线，但是不用给铺设线路的费用，也不用购买路由器等硬件设备。VPN是基于公网,利用隧道加密等技术,为用户提供的虚拟专用网络,它--

-- 给用户一种直接连接到私人局域网的感觉。

用户在电信部门租用的帧中继（Frame Relay）与ATM等数据网络提供固定虚拟线路（PVC-Permanent Virtual Circuit）来连接需要通讯的单位，所有的权限掌握在别人的手中。如果用户需要一些别的服务，需要填写许多的单据，再等上相当一段时间，才能享受到新的服务。更为重要的是两端的终端设备不但价格昂贵，而且管理也需要一定的专业技术人员，无疑增加了成本，而且帧中继、ATM数据网络也不会像Internet那样，可立即与世界上任何一个使用Internet网络的单位连接。而在Internet上，VPN使用者可以控制自己与其它使用者的联系，同时支持拨号的用户。

所以我们说的虚拟专用网一般指的是建筑在Internet上能够自我管理的专用网络，而不是Frame Relay或ATM等提供虚拟固定线路（PVC）服务的网络。

二、VPN工作原理

VPN是将两个不同的外网内的终端机器（包括所有带网卡的设备），连接成一个局域网络。VPN中通信双方，在通信之前建立一个“隧道”，类似于直接拨号连接中建立的专用数据传输链路，专门来传输VPN两端通信的数据，不允许其他未授权用户访问，也不允许其他未授权使用该隧道进行数据的传输。VPN原理拓扑图如图1。

一般来说两台具有独立IP并连接上互联网的计算机只要知道对方的IP地址，是可以直接同通信的。但是位于这两台计算机之后的网络是不能直接互联的，原因是这些私有的网络和公用网络使用了不同的地址空间或协议，即私有网络和公用网络之间是不兼容的。VPN的原理就是在这两台直接和公用连接的计算机之间建立一个条专用通道。私有网络之间的通信内容经过这两台计算机或设备打包通过公用网络的专用通道进行传输，然后在对端解包，还--

-- 原成私有网络的通信内容转发到私有网络中。这样对于两个私有网络来说公用网络就像普通的通信电缆，而接在公用网络上的两台计算机或设备则相当于两个特殊的线路接头。

由于VPN连接的特点，私有网络的通信内容会在公用网络上传输，出于安全和效率的考虑一般通信内容需要加密或压缩。而通信过程的打包和解包工作则必须通过一个双方协商好的协议进行，这样在两个私有网络之间建立VPN通道是需要一个专门的过程，依赖于一系列不同的协议。这些设备和相关的设备和协议组成了一个VPN系统。一个完整的VPN系统一般包括以下三个单元：

(一)VPN服务器端。

一台计算机或设备用来接收和验证VPN连接的请求，处理数据打包和解包工作。VPN服务器端操作系统可以是WinNT 4.0/Win2000/WinXP/Win2003；相关组件为系统自带；要求VPN服务器已经连入Internet，并且拥有一个独立的公网IP。

(二)VPN客户端。

一台计算机或设备用来发起VPN连接的请求，也处理数据的打包和解包工作。VPN客户机端操作系统可以是Win98/WinNT 4.0/Win2000/WinXP/Win2003；相关组件为系统自带；要求VPN客户机已经连入Internet。

(三)VPN数据通道。

一条建立在公用网络上的数据连接。

其实，所谓的服务器和客户端在VPN连接建立之后在通信的角色是一样的，服务器和客户端的区别在于连接是由谁发起的而已。

三、VPN技术的特点和具体功能

（一）VPN的特点

1、安全保障

VPN采用数据加密、身份验证等技术保证通过公用网络传输数据的专用性和安全性，确保VPN上传输的数据不被攻击者窥视和篡改，防止非法用户对于私用网络的网络资源和信息的访问，安全系数强。

2、服务质量保证

VPN可以为不同的用户提供不同级别的服务质量保证。VPN采用的服务质量保证通过流量预测和流量控制策略，按照优先级分级实现带宽管理，使得各类数据合理安全的先后发送，病预防阻塞的发生，合理高效的利用带宽。

3、可扩充性和灵活性

VPN使用ISP和运营商的Internet基础设施，支持通过Internet和Extranet的任何类型--

-- 的数据流。使用VPN的单位或企业可以轻松地添加新用户，同时不受单位或企业的规模限制，无需大规模添置基础设施即可大幅度扩充容量。

4、可管理性

无论是从用户角度还是从运营商角度来说，都可方便地进行管理、维护。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、服务质量保证管理等内容。

（二）VPN的功能

在网络中，服务质量（QoS）是指所能提供的带宽级别。将QoS融入一个VPN，使得管理员可以在网络中完全控制数据流。信息包分类和带宽管理是两种可以实现控制的方法。

1、信息包分类

信息包分类按重要性将数据分组。数据越重要，它的级别越高。当然，它的操作也会优先于同网络中相对次要的数据。

2、带宽管理

通过带宽管理，一个VPN管理员可以监控网络中所有输入输出的数据流，可以允许不同的数据包类获得不同的带宽。

其他的带宽控制形式还有：

（1）通信量管理

通信量管理方法的形成是一个服务提供商在Internet通信拥塞中发现的。大量的输入输出数据流排队通过，这使得带宽没有得到合理使用。

（2）公平带宽

公平带宽允许网络中所有用户机会均等地利用带宽访问Internet。通过公平带宽，当应用程序需要用更大的数据流，例如MP3时，它将减少所用带宽以便给其他人访问的机会。

（3）传输保证

传输保证为网络中特殊的服务预留出一部分带宽，例如视频会议，IP电话和现金交易。它判断哪个服务有更高的优先权并分配相应带宽。

四、VPN中采用的安全技术

VPN主要采用四项安全保证技术：隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。

1、隧道技术

隧道技术是一种利用公共网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据可以是使用不同协议封装的数据包，隧道协议将这些其他协议封装的数据包重新加密并封装在新的--

-- 包头中发送。新的包头提供了路由信息，从而使新封装的数据包能够在隧道的两个端点之间通过公共互联网络进行路由传输E3J。被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。一旦到达网络终点，数据将被解包并转发到最终目的地。

隧道使用三种协议：封装协议：信息传输时使用的协议（GRE、IPSec、L2F、PPTP和L2TP）。承载协议：信息传输时使用的协议（帧中继、ATM和MPLS）。乘客协议：传输原始数据的协议（GRE、IPSec、L2F、PPTP和L2TP）。

2、加解密技术

加密就是对信息重新进行编码，隐藏信息内容，使非法用户无法获得信息的真实内容。信息被称为明文。隐藏信息的过程称为加密。加密后出现的信息称为密文。由密文恢复原文的过程称为解密。密码算法就是用于加密和解密的数学函数。常见的VPN加密算法有：

数据加密标准(DES) 算法：DES是由IBM开发的一种算法，它使用56位密钥来确保高性能加密，DES是一种对称密钥加密系统。

三重DES (3DES) 算法：种较新的DES变体，该算法使用一个密钥加密，再用一个不同的密钥解密，最后用另一个密钥再加密一次。3DES显著提高了加密的力度。

高级加密标准(AES) ：美国国家标准和技术研究所(NIST) 采用AES来替代加密设备目前采用的DES加密。AES提供比DES更高的安全性，在计算方面比3DES更有效率。AES提供以下三种不同的密钥长度：128位、192位和256位。

Rivest、Shamir与Adleman (RSA) ：一种非对称密钥加密系统，密钥长度为512位、768位、1024位或更长。

3、密钥管理技术

密钥管理技术的主要实现在公用数据网上安全地传输密钥。现行密钥管理技术有ISAKMP/OAKLEY两种。SKIP主要是利用Difie-Hellman的演算法则传输密钥；在ISAKMP中，双方都有两把密钥，分别为公钥和私钥。

4、使用者与设备身份认证技术

使用者与设备认证技术最常用的是使用者名称与密码或卡片式认证等方式。

VPN客户端请求进行通信时，必须通过VPN隧道另一端的设备身份验证，才能认为通信路径是安全的，从而进行通过信。。有以下两种对等身份验证方法：

预共享密钥(PSK)：一种在需要使用之前在使用某个安全通道的双方之间共享的密钥。PSK使用对称密钥加密算法，它以手动方式输入到每个对等点中，用于验证对等点的身份。在每一端，PSK都与其它信息合并以形成身份验证密钥。